JetBrains IDEs: Eingebetteter Browser vertraut widerrufenen eMudhra-Zertifikaten

Zusammenfassung

Mehrere JetBrains IDEs verwenden einen eingebetteten Browser (JCEF), der widerrufenen Zwischenzertifikaten der Zertifizierungsstelle eMudhra weiterhin vertraut. Die privaten Schlüssel von acht dieser Zwischenzertifikate wurden kompromittiert. Ein Netzwerkangreifer, der den Datenverkehr abfangen kann, könnte sich im eingebetteten Browser als Websites ausgeben, sofern der Benutzer die Verbindung akzeptiert.

Betroffen

• IntelliJ IDEA, PyCharm, PhpStorm, RubyMine, WebStorm: 2026.2 vor 2026.2.4; 2026.1 vor 2026.1.5.1; vor 2025.3.6.2
• GoLand: 2026.2 vor 2026.2.4; 2026.1 vor 2026.1.5.1; vor 2025.3.5.2
• Rider: 2026.2 vor 2026.2.4; 2026.1 vor 2026.1.5.3; vor 2025.3.5.3
• CLion: 2026.2 vor 2026.2.4.1; 2026.1 vor 2026.1.5.2; vor 2025.3.6.3
• DataGrip: 2026.2 vor 2026.2.6.1; 2026.1 vor 2026.1.4.1; vor 2025.3.6.1
• RustRover: 2026.2 vor 2026.2.5; 2026.1 vor 2026.1.4.1; vor 2025.3.7.1
• DataSpell: 2026.1 vor 2026.1.3.1; vor 2025.3.3.1

Behoben in

• IntelliJ IDEA, PyCharm, PhpStorm, RubyMine, WebStorm: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.6.2
• GoLand: 2026.3 RC, 2026.2.4, 2026.1.5.1, 2025.3.5.2
• Rider: 2026.3 EAP 9, 2026.2.4, 2026.1.5.3, 2025.3.5.3
• CLion: 2026.3 RC, 2026.2.4.1, 2026.1.5.2, 2025.3.6.3
• DataGrip: 2026.3 RC, 2026.2.6.1, 2026.1.4.1, 2025.3.6.1
• RustRover: 2026.3 EAP 8, 2026.2.5, 2026.1.4.1, 2025.3.7.1
• DataSpell: 2026.1.3.1, 2025.3.3.1
• Die Linie 2025.2 erhält die JCEF-Korrektur als separaten Hotfix; bis dahin gilt die Workaround-Massnahme.
• Versionen 2025.1 und älter erhalten keine Korrektur.

Umgehung

• Den eingebetteten Browser (JCEF) in der IDE gemäss Herstellerseite deaktivieren, bis eine korrigierte Version installiert ist.
• Falls kein Update möglich ist, eine Kopie der mitgelieferten Zertifikatsliste bereinigen und die beiden eMudhra-bezogenen Root-Zertifikate entfernen, wie auf der Herstellerseite beschrieben.
• Entwickler sollten Warnungen zu nicht vertrauenswürdigen Zertifikaten für von eMudhra ausgestellte Zertifikate mit Reject bestätigen.

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung ist keine Ausnutzung bekannt (Hersteller und CISA SSVC: Exploitation none).
• Laut CISA SSVC ist die Schwachstelle nicht automatisierbar.
• Forschende haben die privaten Schlüssel der eMudhra-Zwischenzertifikate wiederhergestellt; dies ist die Ursache des Problems.

Unsere Empfehlung

• Die JetBrains IDEs, die Toolbox App und Gateway auf Entwickler-Endgeräten inventarisieren.
• Auf die oben aufgeführten korrigierten Versionen aktualisieren und IDE-Linien 2025.1 und älter ausser Betrieb nehmen.
• Zusätzlich die jetbrainsd-Korrektur (CVE-2026-118697, jetbrainsd 0.9.9728) einspielen, indem die Toolbox App auf 3.9.1 oder 3.8.2 oder eine aktuelle IDE aktualisiert wird.
• Falls das Patchen verzögert wird, die Workaround-Massnahme anwenden und Entwickler zu Zertifikatswarnungen informieren.
• Den NVD-Eintrag und die Herstellerseite nach Abschluss der NVD-Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• JetBrains blog: Compromised eMudhra certificates, update your IDEs blog.jetbrains.com
• JetBrains: Issues fixed www.jetbrains.com
• Mozilla bug 2083449: eMudhra private key compromise bugzilla.mozilla.org
• eMudhra: Certificate security incident emudhra.com
• Strix: CVE-2026-118696 www.strix.ai
• VulDB: CVE-2026-118696 vuldb.com
• Help Net Security: eMudhra certificates private keys compromised www.helpnetsecurity.com
• Casco: CVE-2026-118697 (jetbrainsd) casco.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:10.